为什么java在SSL握手期间不发送客户端证书？

我正在尝试连接到安全的网络服务。

尽管我的密钥库和信任库已正确设置，但握手失败。

经过几天的沮丧，无休止的谷歌搜索和询问周围的每个人，我发现唯一的问题是java选择在握手期间不将客户端证书发送到服务器。

具体来说：

1. 服务器请求客户端证书 (CN=RootCA) - 即“给我一个由根 CA 签名的证书”
2. Java查看了密钥库，只找到了由“SubCA”签名的客户端证书，而该证书又由“RootCA”颁发。它没有费心去调查信任库......好吧，我想
3. 遗憾的是，当我尝试将“SubCA”证书添加到密钥库时，这根本没有帮助。我确实检查了证书是否已加载到密钥库中。它们确实如此，但 KeyManager 会忽略除客户端证书之外的所有证书。
4. 上述所有情况都会导致 java 决定它没有任何满足服务器请求的证书并且不发送任何内容...tadaaa 握手失败:-(

我的问题：

1. 我是否有可能以“破坏证书链”或其他方式将“SubCA”证书添加到密钥库中，以便 KeyManager 仅加载客户端证书并忽略其余部分？ （Chrome 和 openssl 设法解决了这个问题，那么为什么 java 不能呢？ - 请注意，“SubCA”证书始终作为受信任的颁发机构单独呈现，因此 Chrome 显然在握手期间正确地将其与客户端证书一起打包）
2. 这是服务器端的正式“配置问题”吗？服务器是第三方的。我希望服务器请求由“SubCA”机构签名的证书，因为这是他们向我们提供的。我怀疑这在 Chrome 和 openssl 中有效的事实是因为它们“限制较少”，而 java 只是“按章办事”并失败了。

我确实设法为此制定了一种肮脏的解决方法，但我对此不太满意，所以如果有人能为我澄清这个问题，我会很高兴。

您可能已将中间 CA 证书导入到密钥库中，但未将其与拥有客户端证书及其私钥的条目关联。你应该能够看到这个使用keytool -v -list -keystore store.jks。如果每个别名条目仅获得一个证书，则它们不会在一起。

您需要将证书及其链一起导入到包含您的私钥的密钥库别名中。

要找出哪个密钥库别名具有私钥，请使用keytool -list -keystore store.jks（我假设这里是 JKS 商店类型）。这会告诉你这样的事情：

Your keystore contains 1 entry

myalias, Feb 15, 2012, PrivateKeyEntry, 
Certificate fingerprint (MD5): xxxxxxxx

这里，别名是myalias。如果你使用-v除此之外，你应该看到Alias Name: myalias.

如果您还没有单独拥有它，请从密钥库导出您的客户端证书：

keytool -exportcert -rfc -file clientcert.pem -keystore store.jks -alias myalias

这应该会给你一个 PEM 文件。

使用文本编辑器（或cat），准备文件（我们称之为bundle.pem）与该客户端证书和中间 CA 证书（如果需要，可能还有根 CA 证书本身），以便客户端证书位于开头，其颁发者证书位于下方。

这应该看起来像：

-----BEGIN CERTIFICATE-----
MIICajCCAdOgAwIBAgIBAjANBgkqhkiG9w0BAQUFADA7MQswCQYDVQQGEwJVSzEa
....
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
MIICkjCCAfugAwIBAgIJAKm5bDEMxZd7MA0GCSqGSIb3DQEBBQUAMDsxCzAJBgNV
....
-----END CERTIFICATE-----

现在，将此捆绑包重新导入到您的私钥所在的别名中：

keytool -importcert -keystore store.jks -alias myalias -file bundle.pem